Podatności WordPress CVE-2026: jak chronić swoją stronę

Rząd Polski wydał oficjalną rekomendację dotyczącą krytycznych podatności w oprogramowaniu WordPress, które stanowią bezpośrednie zagrożenie dla wszystkich użytkowników tej platformy. Podatności mogą być wykorzystane przez cyberprzestępców do przeprowadzenia ataków mogących doprowadzić do przejęcia kontroli nad serwerem i całkowitej utraty danych.

Jakie podatności zagrażają WordPress?

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa zidentyfikował dwie krytyczne podatności, które działając razem stwarzają poważne zagrożenie. Podatność CVE-2026-63030 dotyczy usługi REST API — interfejsu programistycznego, który pozwala aplikacjom komunikować się z WordPress. W połączeniu z podatnością CVE-2026-60137, te dwie luki mogą umożliwić przeprowadzenie ataku typu SQL Injection.

SQL Injection to technika ataku, w której cyberprzestępca wstrzykuje złośliwy kod SQL bezpośrednio do zapytań do bazy danych. W przypadku WordPress oznacza to, że atakujący może:

• uzyskać dostęp do całej bazy danych witryny
• pobrać hasła i dane użytkowników
• zmodyfikować lub usunąć zawartość
• zainstalować złośliwe oprogramowanie

Jeszcze bardziej niebezpieczne jest to, że te podatności mogą prowadzić do zdanego wykonania kodu (RCE — Remote Code Execution). RCE oznacza, że atakujący może uruchomić dowolny kod na twoim serwerze, uzyskując pełną kontrolę nad systemem.

Jak potwierdzono skalę zagrożenia?

Zagrożenie nie jest teoretyczne. Polska Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa przeprowadziła konsultacje z trzema głównymi instytucjami zajmującymi się bezpieczeństwem cybernetycznym:

Instytucja	Rola
CSIRT NASK	Krajowe centrum reagowania na incydenty bezpieczeństwa
CSIRT GOV	Zespół ds. bezpieczeństwa administracji publicznej
CSIRT MON	Zespół ds. bezpieczeństwa Ministerstwa Obrony Narodowej

Wszystkie trzy instytucje potwierdziły możliwość wystąpienia incydentu krytycznego, co oznacza, że podatności są rzeczywiście niebezpieczne i mogą być już wykorzystywane w rzeczywistych atakach.

Co to oznacza dla Ciebie?

Jeśli prowadzisz stronę internetową na WordPress — niezależnie od tego, czy jest to blog, sklep internetowy czy portal informacyjny — jesteś potencjalnym celem. Podatności dotyczą wszystkie wersje WordPress, które nie zostały zaktualizowane do wersji rekomendowanej przez Pełnomocnika. W Polsce, gdzie WordPress obsługuje miliony stron internetowych, od małych biznesów po większe przedsiębiorstwa, skala zagrożenia jest znaczna.

Szczególnie zagrożone są instytucje publiczne, które przechowują dane obywateli, oraz małe i średnie przedsiębiorstwa, które często nie posiadają dedykowanych zespołów bezpieczeństwa IT. Atak na twoją stronę może prowadzić nie tylko do utraty danych, ale również do utraty zaufania klientów i poważnych konsekwencji prawnych.

Jakie kroki podjąć natychmiast?

Rekomendacja Pełnomocnika Rządu wskazuje na konkretne działania, które należy wykonać bez opóźnienia:

1. Niezwłoczna aktualizacja WordPress

Pierwszym i najważniejszym krokiem jest natychmiastowa aktualizacja wszystkich instancji WordPress do wersji rekomendowanej przez Pełnomocnika. Aktualizacja powinna być przeprowadzona na wszystkich serwerach, na których działa WordPress, niezależnie od tego, czy strona jest aktywnie utrzymywana.

2. Audyt logów systemowych

Po aktualizacji należy przeprowadzić szczegółowy audyt logów systemowych w poszukiwaniu podejrzanych zapytań. Konkretnie, zwróć uwagę na:

• Zapytania do REST API
• Parametry WP_Query, które mogą wskazywać na próby SQL Injection
• Dostępy do ścieżki /wp-json/batch/v1
• Użycie parametru ?rest_route=/batch/v1

Jeśli w logach znaleziesz podejrzane zapytania z dat poprzedzających aktualizację, oznacza to, że twoja strona mogła być atakowana. W takim przypadku powinieneś natychmiast zmienić wszystkie hasła i sprawdzić, czy nie została zainstalowana złośliwa zawartość.

3. Ograniczenie dostępu do REST API

REST API jest funkcjonalnością WordPress, która jest niezbędna dla wielu wtyczek i aplikacji, ale może być również wykorzystywana do ataków. Rekomendacja sugeruje ograniczenie dostępu do podatnych funkcjonalności REST API, w szczególności do ścieżki /wp-json/batch/v1 oraz parametru ?rest_route=/batch/v1.

Możesz to zrobić poprzez:

• Wyłączenie REST API dla niezalogowanych użytkowników (jeśli twoja strona to umożliwia)
• Ograniczenie dostępu do REST API na poziomie serwera (poprzez plik .htaccess lub konfigurację serwera)
• Użycie wtyczek, które kontrolują dostęp do REST API

4. Wdrożenie zapory aplikacji webowej (WAF)

Zapora aplikacji webowej (WAF — Web Application Firewall) to rozwiązanie bezpieczeństwa, które monitoruje i filtruje ruch HTTP/HTTPS do twojej witryny. WAF może blokować potencjalne próby ataków, w tym zapytania zawierające SQL Injection.

Dostępne opcje WAF obejmują:

• Rozwiązania chmurowe (np. Cloudflare, AWS WAF)
• Wtyczki WordPress oferujące funkcjonalność WAF
• Rozwiązania na poziomie serwera

Gdzie znaleźć więcej informacji?

Pełna rekomendacja Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa jest dostępna na portalu Gov.pl. Dokument zawiera szczegółowe informacje techniczne oraz dodatkowe wytyczne dotyczące bezpieczeństwa WordPress.

Dodatkowo, zaleca się regularne monitorowanie:

• Oficjalnych komunikatów bezpieczeństwa WordPress (wordpress.org)
• Alertów CSIRT NASK dotyczących podatności
• Zmian w wtyczkach i motywach, które używasz

Czy to wystarczy?

Aktualizacja, audyt logów, ograniczenie dostępu do REST API i wdrożenie WAF to kluczowe kroki zalecane przez polskie władze ds. cyberbezpieczeństwa. Jednak bezpieczeństwo to proces ciągły. Po zastosowaniu tych rekomendacji powinieneś:

• Regularnie aktualizować WordPress i wszystkie wtyczki
• Korzystać ze słabych haseł i dwuetapowej weryfikacji
• Robić regularne kopie zapasowe swojej witryny
• Monitorować logi dostępu i podejrzane aktywności
• Utrzymywać serwer i system operacyjny w aktualnym stanie

Podatności w WordPress są poważnym zagrożeniem, ale przy szybkim działaniu i zastosowaniu rekomendacji Pełnomocnika Rządu możesz znacznie zmniejszyć ryzyko ataku na swoją stronę.